Apache OFBiz路径遍历漏洞(CVE-2024-36104)

最新推荐文章于 2025-05-15 10:29:48 发布
最新推荐文章于 2025-05-15 10:29:48 发布
阅读量793 收藏
点赞数 10
CC 4.0 BY-SA版权
分类专栏： 漏洞复现 文章标签： apache
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/WuYSec/article/details/139469803

0x01 漏洞描述

Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。

Apache OFBiz 18.12.14之前版本存在命令执行漏洞 ，该漏洞源于ControlFilter对路径限制不当导致用户能够访问ProgramExport导出功能执行Groovy代码。

0x02 影响版本

Apache OFBiz < 18.12.14

0x03 FoFa语句

app="Apache_OFBiz"

0x04 漏洞复现

知识星球

无垠Sec专注安全研究，包括但不限于代码审计、漏洞挖掘、思路分享等。目前仅需50，你就能得到常见系统1day漏洞POC、代码审计、漏洞分析、漏洞挖掘等

Apache OFBiz 路径遍历导致RCE漏洞复现（CVE-2024-36104）
0xSec
06-04 2706
Apache OFBiz 18.12.14之前版本存在命令执行漏洞，该漏洞源于org.apache.ofbiz.webapp.control.ControlFilter类对路径（请求URL中的特殊字符（如 ；、%2e）限制不当导致攻击者能够绕过后台功能点的过滤器验证，并通过/webtools/control/ProgramExport接口的编程导出功能执行任意Groovy代码获取系统权限。
Apache OFBiz 未授权远程代码执行漏洞（CVE-2024-45195）
iSee857的博客
09-08 1276
Apache OFBiz是⼀个著名的电⼦商务平台，提供了创建基于最新 J2EE/ XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应⽤服务器的多层、分布式电⼦商务类WEB应⽤系统的框架。Apache OFBiz 18.12.16 之前版本中，由于Web 应用程序中缺少视图授权检查，未经身份验证的远程威胁者可构造恶意请求写入恶意文件导致远程代码执行，从而获取服务器权限。在服务器上启动一个python http服务用以 请求发送。服务器上启的http服务收到访问链接。访问下列接口进行RCE验证。
Apache-OFBiz存在路径遍历导致RCE漏洞(CVE-2024-36104)
最新发布
swordheart的博客
05-15 299
ApacheOFBiz是一个由Apache基金会开发的企业级电子商务平台，支持跨平台、跨数据库和跨应用服务器的多层分布式应用。该系统基于Java，提供了一系列Web应用程序组件和工具。然而，ApacheOFBiz 18.12.14之前的版本存在一个严重的命令执行漏洞
Catalyze安全知识库
mashiro_hibiki的博客
05-21 438
高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。分享行业内最新动态，解答交流各类技术问题。涉及方向包括Web渗透、免杀绕过、红蓝攻防、代码审计、应急响应、安全培训、CTF、小白入门、职业规划和疑难解答。
【已复现】Apache OFBiz 路径遍历漏洞(CVE-2024-36104)安全风险通告
smellycat000的专栏
06-06 880
●点击↑蓝字关注我们，获取更多安全风险通告漏洞概述漏洞名称Apache OFBiz 路径遍历漏洞漏洞编号QVD-2024-21464,CVE-2024-36104公开时间2024-06-02影响量级万级奇安信评级高危CVSS 3.1分数9.8威胁类型代码执行利用可能性高POC状态已公开在野利用状态未发现EXP状态已公开技术细节状态已公开危害描述：未授权的攻击者可以通过构造恶意请求绕过认证，进⽽访...
【奇淫技巧】mysql注入小技巧（非常详细）零基础入门到精通，收藏这一篇就够了
A1_3_9_7的博客
03-17 937
举例：通过布尔盲注的方法注当前登录用户名的第一位(这里是"r",ascii编码后是114)，通过截取user字段第一位与爆破位置的数字进行比较，如果爆破位置数字小于114，就会触发溢出数据库报错，如果>=114就会回显正常，所以这里可以判断当前登录用户名的第一位ascii编码后是114，是"r"。内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
漏洞情报 | Apache OFBiz 远程代码执行漏洞
爱国小白帽
03-22 545
0x01 漏洞描述 OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 近日，360漏洞云监测到Apache OFBiz官方披露了Apache OFBiz远程代码执行漏洞的安全通告，该漏洞出现在ofbiz/base/util/SafeObjectInputStream.java中，该功能为框架中的通用序列化处理类，未经身份验证的攻击者可构造恶意请求.
CVE-2020-9496 Apache OFBiz XML-RPC反序列化漏洞复现
Shadow_DAI_990101的博客
08-23 3585
CVE-2020-9496 Apache OFBiz XML-RPC反序列化漏洞复现
Apache OFBiz 授权不当致远程代码执行漏洞(CVE-2024-38856)
0xSec
08-05 1431
2024年8月，互联网上披露Apache OFBiz 授权不当致远程代码执行漏洞(CVE-2024-38856)，该漏洞允许未经过身份验证的远程攻击者绕过原有通过特定URL绕过检测执行恶意代码的安全机制。攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。
【漏洞复现】Apache OFBiz 授权不当致远程代码执行
今天是几号的博客
08-06 1143
攻击者可能利用该漏洞来执行恶意操作，包括但不限于获取敏感信息、修改数据或执行系统命令，最终可导致服务器失陷。Apache OFBiz 是一个开源的企业资源计划 (ERP) 和客户关系管理 (CRM) 软件平台，提供全面的企业管理解决方案，包括电子商务、库存管理、制造、会计等功能，支持企业进行灵活的定制和扩展。任何因使用本文所提供的信息或工具而导致的损失、后果或不良影响，均由使用者个人承担责任，与本文作者无关。本文所涉及的任何技术、信息或工具，仅供学习和参考之用。
CVE-2024-36104 Apache OFBiz路径遍历RCE漏洞复现（附POC）
mashiro_hibiki的博客
06-05 2621
高质量安全知识星球社区，致力于漏洞挖掘，渗透技巧，安全资料，星球承诺会持续更新0/1/NDay及对应的批量利用工具，团队内部漏洞库，内外网攻防技巧，你所需要的各类安全工具和资料以及团队师傅们最新的学习研究成果。，安全技术水平的催化者，星球针对成员的技术问题，快速提供思考方向及解决方案，并为星友提供多种方向的学习资料、安全工具、POC&EXP以及各种学习笔记等，以引导者和催化剂的方式助力安全技术水平的提升。Apache_OFBiz是一套基于通用架构的企业应用程序，使用通用数据，逻辑和流程组件。
【漏洞复现】Apache OFBiz 路径遍历导致RCE漏洞(CVE-2024-36104)
qq_67810151的博客
06-07 893
Apache OFBiz是一个功能强大、易于定制和扩展的开源ERP系统，适用于各种类型的企业。通过利用最新的技术标准和开源项目，Apache OFBiz为企业提供了一个高效、稳定、灵活的电子商务平台解决方案。
#渗透测试#批量漏洞挖掘#Apache OFBiz代码执行漏洞(CVE-2024-38856)
soc的博客
02-17 1227
Apache OFBiz是美国阿帕奇（Apache）基金会的一套企业资源计划（ERP）系统。该系统提供了一整套基于Java的Web应用程序组件和工具。Apache OFBiz 18.12.14及之前版本存在安全漏洞，该漏洞源于存在授权错误漏洞，从而导致未经身份验证的端点可执行屏幕渲染代码。
Apache 修复严重的 OFBiz 远程代码执行漏洞
smellycat000的专栏
09-06 426
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士Apache 修复了 OFBiz 软件中的一个严重漏洞，可导致攻击者在易受攻击的 Linux 和 Windows 服务器上执行任意代码。OFBiz 是一款客户关系管理 (CRM) 和企业资源规划 (ERP) 商业应用套件，可被用于开发 web 应用的基于Java 的web 框架。该漏洞的编号是CVE-2024-45159，由 Rapid7 安全研...
Apache OFBiz XML-RPC远程代码执行漏洞(CVE-2023-49070)漏洞复现
qq_53733257的博客
12-11 2374
CVE-2023-49070 漏洞复现
Apache OFBiz 身份验证绕过
若有战，召必回
01-02 1399
介绍CVE-2024-25065 是一个存在于 Apache OFBiz 在版本 18.12.12 之前的漏洞。这是一种路径遍历漏洞，允许通过 hasBasePermission()方法中的 contextPath 变量进行身份验证绕过。Apache OFBiz 是什么？Apache OFBiz（Open For Business）是一个开源的企业资源规划（ERP）和电子商务系统，提供了一套全面的商业应用程序，用于自动化和整合各种业务流程。
Apache-RCE、目录遍历漏洞、文件解析
weixin_68408599的博客
12-21 1801
Apache HTTP Server 2.4.49、2.4.50 版本对路径规范化所做的更改中存在一个路径穿越漏洞，攻击者可利用该漏洞读取到 Web 目录外的其他文件，如系统配置文件、网站源码等，甚至在特定情况下，攻击者可构造恶意请求执行命令，控制服务器。Apache HTTPD 是一款 HTTP 服务器。其 2.4.0~2.4.29 版本存在一个解析漏洞，在解析 PHP 时，1.php\x0A 将被按照 PHP 后缀进行解析，导致绕过一些服务器的安全策略。
服务攻防-中间件安全&CVE复现&IIS&Apache&Tomcat&Nginx漏洞复现
ran的博客
05-13 3189
ISS中间件（Internet Security and Acceleration Server Middleware）是微软公司推出的一种安全中间件，旨在提供高效的安全代理服务和网络加速功能。它是Microsoft Proxy Server和Microsoft Firewall产品的继承者，也是Microsoft Forefront TMG（Threat Management Gateway）的前身。
CVE-2024-45195
01-17
### CVE-2024-45195 漏洞详情 CVE-2024-45195 是 Apache OFBiz 中 `/viewdatafile` 接口存在的代码执行漏洞。此漏洞允许攻击者通过精心构造的请求，在服务器端执行任意代码，从而完全控制受影响的应用程序实例[^2]。 #### 影响范围 该漏洞影响所有使用 Apache OFBiz 应用框架并启用了 `/viewdatafile` 功能模块的部署环境。具体版本受影晌情况需参照官方公告确认，通常较新版本可能已经包含了对该问题的部分缓解措施。由于 Apache OFBiz 广泛应用于企业资源规划 (ERP) 和客户关系管理 (CRM)，因此潜在的影响面较大。 #### 修复方案 为了防止利用此漏洞进行攻击，建议采取以下措施： 1. **立即更新至最新版**：尽快将 Apache OFBiz 升级到最新的稳定版本，因为开发者团队会在后续版本中修复此类安全问题。 2. **禁用不必要的服务接口**：如果业务逻辑不需要使用 `/viewdatafile` API，则应考虑将其关闭或限制访问权限，减少暴露风险。 3. **应用补丁**：对于无法立刻升级的情况，应当密切关注厂商发布的针对性修补程序，并及时安装以封堵漏洞。 4. **加强输入验证**：即使有其他防护手段，也应在应用程序层面强化对外部数据输入的校验机制，避免恶意参数穿透防御体系。 ```bash # 更新命令示例（实际操作前请查阅官方文档） cd /path/to/apache-ofbiz/ git pull origin main ./gradlew cleanAll build install ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值